为什么firewalld 没有应用我的丢弃规则？

Question 1

我遇到了相同/类似的问题。经过数小时的故障排除，我得出以下观察结果。

iptables 规则链（针对“公共”区域）的顺序是：

IN_public_log 
IN_public_deny
IN_public_allow

这意味着“拒绝”规则在“允许”规则之前处理 - 因此这对于理解规则匹配的顺序非常重要。我不知道这个顺序是否可以改变。

我遇到了同样的问题，发出firewalld-cmd --reload似乎不会影响 SIP 数据包是否被丢弃或接受，但重新启动可以解决问题。

但是，我发现这个firewalld-cmd --complete-reload命令似乎效果更好 - 虽然我认为这会删除任何现有会话。但至少我可以更改防火墙规则，而不必重新启动才能使其完全/正确应用。

我还注意到，即使 SIP 消息被阻止，sngrep 似乎仍然能够捕获和显示 SIP 消息，但它显示的消息计数为 1，并且没有响应消息（因为它实际上已被阻止）。

更新：我知道 sngrep (自 0.1.0 起) 使用 libpcap - 请参阅https://github.com/irontec/sngrep/wiki根据这篇文章，libpcap 在数据包被“防火墙”处理之前会处理（入站）数据包。我假设“防火墙”在这种情况下也可以指防火墙。请参阅tcpdump 能看到被 iptables 丢弃的数据包吗？

注意：CentOS 7 似乎附带了防火墙版本 0.4.4.4。最新版本是 0.6.0，但我还不知道如何升级它。我希望新版本可以解决/修复上述问题。

Answer

我遇到了相同/类似的问题。经过数小时的故障排除，我得出以下观察结果。

iptables 规则链（针对“公共”区域）的顺序是：

IN_public_log 
IN_public_deny
IN_public_allow

这意味着“拒绝”规则在“允许”规则之前处理 - 因此这对于理解规则匹配的顺序非常重要。我不知道这个顺序是否可以改变。

我遇到了同样的问题，发出firewalld-cmd --reload似乎不会影响 SIP 数据包是否被丢弃或接受，但重新启动可以解决问题。

但是，我发现这个firewalld-cmd --complete-reload命令似乎效果更好 - 虽然我认为这会删除任何现有会话。但至少我可以更改防火墙规则，而不必重新启动才能使其完全/正确应用。

我还注意到，即使 SIP 消息被阻止，sngrep 似乎仍然能够捕获和显示 SIP 消息，但它显示的消息计数为 1，并且没有响应消息（因为它实际上已被阻止）。

更新：我知道 sngrep (自 0.1.0 起) 使用 libpcap - 请参阅https://github.com/irontec/sngrep/wiki根据这篇文章，libpcap 在数据包被“防火墙”处理之前会处理（入站）数据包。我假设“防火墙”在这种情况下也可以指防火墙。请参阅tcpdump 能看到被 iptables 丢弃的数据包吗？

注意：CentOS 7 似乎附带了防火墙版本 0.4.4.4。最新版本是 0.6.0，但我还不知道如何升级它。我希望新版本可以解决/修复上述问题。

Question 2

在尝试使规则生效时，我以两种不同的方式创建阻止规则。第一种方法是将 IP 放入放置区，方法是：

firewall-cmd --permanent --zone=drop --add-source=3.3.3.0/24

并忘记了重新加载命令，因此规则不适用，接下来我在防火墙中创建此条目。

firewall-cmd --permanent --zone=public --add-rich-rule='rule family=ipv4 source address=3.3.3.0/24 reject'

我无法让规则与防火墙中的两个条目一起工作。清除防火墙中与 3.3.3.0/24 网络相关的所有条目，然后重新创建带有放置区域的规则，它对我来说就可以正常工作了。

Answer

在尝试使规则生效时，我以两种不同的方式创建阻止规则。第一种方法是将 IP 放入放置区，方法是：

firewall-cmd --permanent --zone=drop --add-source=3.3.3.0/24

并忘记了重新加载命令，因此规则不适用，接下来我在防火墙中创建此条目。

firewall-cmd --permanent --zone=public --add-rich-rule='rule family=ipv4 source address=3.3.3.0/24 reject'

我无法让规则与防火墙中的两个条目一起工作。清除防火墙中与 3.3.3.0/24 网络相关的所有条目，然后重新创建带有放置区域的规则，它对我来说就可以正常工作了。

Question 3

您缺少一些基础知识。有接口，接口属于一个区域（默认情况下为公共区域）。该区域的规则在属于它的所有接口上实施。您有两个接口eno1（在区域内内部的）和en4（在区域内民众）。正如 Nasir Riley 所建议的，您必须在所需接口所属的区域上实施规则。您正在尝试与区域有关的事情“降低“但该区域中没有接口。来自 Red Hat 文档降低区：

“所有传入的网络数据包都会被丢弃；没有回复。只有传出的网络连接才有可能。”

因此，您可以将所需的接口放入此区域，但首先删除您添加的规则。然后彻底检查RHEL 7 安全指南，有很多关于firewalld 的信息。

Answer

您缺少一些基础知识。有接口，接口属于一个区域（默认情况下为公共区域）。该区域的规则在属于它的所有接口上实施。您有两个接口eno1（在区域内内部的）和en4（在区域内民众）。正如 Nasir Riley 所建议的，您必须在所需接口所属的区域上实施规则。您正在尝试与区域有关的事情“降低“但该区域中没有接口。来自 Red Hat 文档降低区：

“所有传入的网络数据包都会被丢弃；没有回复。只有传出的网络连接才有可能。”

因此，您可以将所需的接口放入此区域，但首先删除您添加的规则。然后彻底检查RHEL 7 安全指南，有很多关于firewalld 的信息。

为什么firewalld 没有应用我的丢弃规则？

答案1

答案2

答案3

相关内容